Компьютерный файлово-загрузочный полиморфный стелс-вирус ONEHALF 3544, особенности алгоритма и методы борьбы с ним
Компьютерный файлово-загрузочный полиморфный стелс-вирус ONEHALF 3544, особенности алгоритма и методы борьбы с ним
Малая Академия наук
школьников Крыма «Искатель»
Секция информатики
КОМПЬЮТЕРНЫЙ ФАЙЛОВО-ЗАГРУЗОЧНЫЙ
ПОЛИМОРФНЫЙ СТЕЛС-ВИРУС ONEHALF 3544,
ОСОБЕННОСТИ АЛГОРИТМА И МЕТОДЫ БОРЬБЫ С НИМ.
Действительный член МАН «Искатель»
Ученик 10 – го класса
Форосской общеобразовательной школы I – III ступени
КОРАБЛЕВ Андрей
Руководитель: КОРАБЛЕВ А. Б. - системотехник
ВВЕДЕНИЕ
Мы живем на стыке двух тысячелетий, когда человечество вступило в эпоху
новой научно-технической революции.
К концу двадцатого века люди овладели многими тайнами превращения
вещества и энергии и сумели использовать эти знания для улучшения своей
жизни. Но кроме вещества и энергии в жизни человека огромную роль играет
еще одна составляющая - информация. Это самые разнообразные сведения,
сообщения, известия, знания, умения.
В середине нашего столетия появились специальные устройства - компьютеры,
ориентированные на хранение и преобразование информации и произошла
компьютерная революция.
Сегодня массовое применение персональных компьютеров, к сожалению,
оказалось связанным с появлением самовоспроизводящихся программ-вирусов,
препятствующих нормальной работе компьютера, разрушающих файловую структуру
дисков и наносящих ущерб хранимой в компьютере информации.
Несмотря на принятые во многих странах законы о борьбе с компьютерными
преступлениями и разработку специальных программных средств защиты от
вирусов, количество новых программных вирусов постоянно растет. Это требует
от пользователя персонального компьютера знаний о природе вирусов, способах
заражения вирусами и защиты от них. Это и послужило стимулом для выбора
темы моей работы.
Я хочу показать на основе вируса Onehalf 3544, наделавшего много шума в
1994-95 годах, возможные пути заражения, распространения, разрушительные
способности вирусов и рекомендовать способы обнаружения и защиты от них.
Работа выполнена на основе анализа листинга кода тела вируса, полученного
при помощи дизассемблера Sourcer версии 7.0 и экспериментального заражения
- лечения нескольких компьютеров с разными типами жестких дисков, и
использовании различных антивирусных и прикладных программ. Особую
благодарность за предоставление материалов для подготовки моей работы хочу
выразить системному программисту Александру Крыжановскому из Ялты и моему
руководителю системотехнику Алексею Кораблеву.
КЛАССИФИКАЦИЯ ВИРУСОВ.
В настоящее время известно более 35000 программных вирусов, их можно
классифицировать по следующим признакам:
среде обитания
способу заражения среды обитания
воздействию
особенностям алгоритма
В зависимости от среды обитания вирусы можно разделить на сетевые,
файловые, загрузочные, файлово-загрузочные и макро-вирусы,
распространяющиеся вместе с документами и электронными таблицами. Файловые
вирусы внедряются главным образом в исполняемые модули, т. е. В файлы,
имеющие расширения COM и EXE. Загрузочные вирусы внедряются в
загрузочный сектор диска (Boot-сектор) или в сектор, содержащий программу
загрузки системного диска (Master Boot Record). Файлово-загрузочные вирусы
заражают как файлы, так и загрузочные сектора дисков.
По способу заражения вирусы делятся на резидентные и нерезидентные.
Резидентный вирус при заражении (инфицировании) компьютера оставляет в
оперативной памяти свою резидентную часть, которая потом перехватывает
обращение операционной системы к объектам заражения (файлам, загрузочным
секторам дисков и т. п.) и внедряется в них. Резидентные вирусы находятся в
памяти и являются активными вплоть до выключения или перезагрузки
компьютера. Нерезидентные вирусы не заражают память компьютера и являются
активными ограниченное время.
По степени воздействия вирусы можно разделить на следующие виды:
5. неопасные, не мешающие работе компьютера, но уменьшающие объем
свободной оперативной памяти и памяти на дисках, действия таких
вирусов проявляются в каких-либо графических или звуковых эффектах
6. опасные вирусы, которые могут привести к различным нарушениям в
работе компьютера
7. очень опасные, воздействие которых может привести к потере программ,
уничтожению данных, стиранию информации в системных областях диска.
По особенностям алгоритма вирусы трудно классифицировать из-за большого
разнообразия. Известны вирусы-невидимки, называемые стелс-вирусами, которые
очень трудно обнаружить и обезвредить, так как они перехватывают обращения
операционной системы к пораженным файлам и секторам дисков и подставляют
вместо своего тела незараженные участки диска. Наиболее трудно обнаружить
вирусы-мутанты (полиморфные), содержащие алгоритмы шифровки-расшифровки,
благодаря которым копии одного и того же вируса не имеют ни одной
повторяющейся цепочки байтов.
Рассматриваемый мной вирус Onehalf 3544 примечателен не только тем, что
его появление вызвало большой резонанс в компьютерном мире, но и тем, что
он одновременно объединяет в себе множество свойств являясь очень опасным
резидентным файлово-загрузочным полиморфным стелс-вирусом. В моей работе я
покажу каждое из его свойств, его сильные и слабые стороны.
АНАЛИЗ АЛГОРИТМА ВИРУСА.
Размещение вируса в зараженном файле.
Зашифрованное тело вируса длиной 3544 байта в зараженном файле находится
после конца файла, при этом зараженный файл содержит в себе 10 «пятен»-
фрагментов кода расшифровщика и таблицу размещения «пятен», размещающуюся в
начале файла и содержащую также информацию о смещении начала тела вируса от
начала файла.
Зараженный файл (приращение длины 3544 байт).
- Таблица размещения «пятен» кода расшифровщика
- «Пятна», в которых содержится расшифровщик тела вируса
- Тело зараженного файла
- Зашифрованное тело вируса
Размещение вируса в зараженном MBR.
После заражения MBR вирус записывает на место оригинального MBR свой
обработчик загрузки тела вируса в память, затем пишет 7 секторов кода
своего тела в 7 секторов от конца 0 дорожки диска в скрытых секторах, а
затем пишет оригинальный MBR в восьмой от конца 0 дорожки диска. Рассмотрим
на примере диска с 17 секторами на дорожку.
-Обработчик загрузки тела ви-
руса в память.
- Оригинальный MBR.
7 секторов, содержащие
тело вируса.
Алгоритм инсталляции вируса.
При запуске зараженного файла на исполнение или загрузке с зараженного
MBR вирус при помощи собственного обработчика прерывания Int12h – выдача
объема памяти - оценивает количество свободной оперативной памяти и
наличие своей копии в памяти и если ее менее 4 килобайт или память уже
содержит тело вируса - отдает управление файлу или оригинальному
загрузчику. Для поиска своей копии в памяти вирус вызывает несуществующую
DOS - функцию (прерывание Int 21h, функция 54h). Если вируса нет в памяти,
то в регистр АХ возвращается код ошибки выполнения функции. Если вирус уже
загружен в память, то он перехватывает эту функцию и возвращает в регистр
АХ некое число, отличное от кода ошибки. По наличию этого числа вирус
определяет наличие своей копии в памяти и не заражает ее повторно. При
наличии 4 и более килобайт свободного ОЗУ и отсутствии тела вируса в памяти
вирус сначала анализирует геометрию диска при помощи собственного
обработчика прерывания Int13h ( дисковые операции), ищет последний DOS диск
или Extended Partition в системе, ищет признак заражения MBR (03Dh в MBR).
Если MBR не заражен, то пишет 7 секторов кода своего тела в 7 секторов от
конца 0 дорожки диска в скрытых секторах, а затем пишет оригинальный MBR в
восьмой от конца 0 дорожки диска. После записи своего тела на диск или
получив признак зараженности MBR, вирус анализирует наличие своего тела в
памяти и при отсутствии переписывает 7 секторов своего тела с диска. При
наличии тела в памяти вирус отдает ему управление.
Далее вирус использует свои обработчики прерываний:
Int1h – прерывание отладки и трассировки – для «завешивания» системы при
попытке трассировать код вируса в память;
Int 1Ch – таймер – для перехвата DOS (прерывание Int 21h) при его загрузке;
Int13h – дисковые операции – для обслуживания чтения – записи дисков и
операции шифровки-расшифровки дорожек диска. При этом вирусу приходится
использовать для этого метод трассировки (пошагового исполнения)
оригинального обработчика для определения точки входа данного прерывания.
Это нужно для корректного возврата прерывания обратно. Вирус вынужден
вызывать оригинальное прерывание отладки и выполнять перехват в пошаговом
режиме;
Int24h – критическая ошибка – для перехвата сообщения о критической ошибке
при неудачных попытках записи на диск.
В случае старта с зараженного файла вирус лечит его в памяти и записывает
на диск уже не зараженным.
Далее вирус считывает из MBR нижнюю границу зашифрованной дорожки и
анализирует, не дошла ли граница до седьмой дорожки от начала диска. Если
шифрование дошло до этого значения, то шифрация запрещается для того, чтобы
не повредить системные области диска. Если не дошло, то вирус шифрует две
дорожки вверх от нижней границы шифрованных дорожек используя ключ,
хранящийся в MBR. Следует учитывать, что ключ генерируется из случайного
числа при заражении диска и на каждом диске является уникальным. Это
является одним из признаков полиморфизма. При удачной шифровке в MBR
записывается новое значение нижней границы зашифрованной дорожки.
Следующим шагом вируса является анализ совпадения трех параметров:
зашифрована ли половина дорожек диска, кратен ли день в системной дате
четырем и является ли четным счетчик заражения компьютеров, хранящийся в
теле вируса. При совпадении трех этих параметров вирус выводит на дисплей
сообщение «Dis is OneHalf! Press any key to continue…» и ожидает нажатия
любой клавиши для продолжения работы. Однако совпадение всех параметров
является чрезвычайно редким и не стоит рассчитывать на то, что вирус таким
образом выдаст свое присутствие в системе.
Далее вирус читает оригинальный MBR и передает ему управление дальнейшей
загрузкой при этом сохраняя свои обработчики прерываний Int13h (для
обслуживания шифрованных дорожек) и Int1Ch (для перехвата DOS и контроля
через перехваченное прерывание Int21h записи файла на дискету). Вирус
корректно расшифровывает данные с зашифрованных дорожек и не затормаживает
работу компьютера.
При помощи собственного обработчика прерывания Int12h вирус скрывает
уменьшение размера свободной памяти на 4 килобайта для всех программ, кроме
программы CHKDSK ( утилита проверки диска из комплекта DOS) и программы
Norton Commander. При помощи собственного обработчика прерывания
обслуживания DOS Int21h скрывает приращение длины зараженного файла. Однако
следует помнить, что в зараженной системе могут отсутствовать зараженные
файла, т.к. в алгоритме вируса предусмотрено их лечение при успешном
заражении. При попытке трассировки вируса в памяти при помощи вызова
прерывания Int1h он при помощи собственного обработчика «завешивает»
систему организацией цикла без выхода. Эти действия вируса позволяют
говорить о том, что он является стелс-вирусом, а возможность заражения
файлов и MBR диска о том, что он является файлово-загрузочным.
Алгоритм заражения файлов для размножения.
Вирус OneHalf 3544 для своего размножения использует заражение файлов
которые записываются на гибкие магнитные носители (дискеты). При
обнаружении обращения DOS к дискете для записи файла вирус определяет, не
превышает ли длина заражаемого .СОМ файла + длина тела вируса (3544 байт)
величины 64 килобайта. Эта величина является пределом длины файлов такого
типа. Если превышает, то заражение не производится, а если не превышает, то
производится проверка имени файла. Если имя файла содержится в списке не
подлежащих заражению (SCAN, CLEAN, FINDVIRU, GUARD, NOD, VSAFE,
MSAV,CHKDSK), то заражение также не производится. Далее вирус производит
поиск признака зараженности файла. Если файл уже заражен, то число секунд
во времени создания файла будет равно остатку деления числа даты во времени
создания файла на 30. При наличии признака заражения файл повторно не
заражается.
Если файл не заражен, то в теле файла создается 10 пустых «пятен» для
размещения в них расшифровщика тела вируса. Выбирается случайное число для
их размещения в теле файла, проверяя при этом, чтобы расстояние между двумя
ближайшими было не менее 10 байт. Здесь мы можем увидеть, что размещение
«пятен» кода расшифровщика является случайным, что также мы можем отнести к
проявлениям полиморфности вируса. Код расшифровщика записывается в «пятна».
Таблица размещения «пятен» записывается в начале файла. При неудачной
записи «пятна» удаляются и файл не заражается.
Генерируется случайное число, которое становится ключом шифрации тела
вируса. Тело вируса шифруется, ключ записывается в таблице размещения
«пятен» расшифровщика. Зашифрованное тело вируса записывается в конец
заражаемого файла. При неудачной записи заражение отменяется и «пятна»
расшифровщика удаляются. Если запись произведена успешно, то уже зараженный
файл записывается на дискету. Из-за того, что для выбора ключа шифровки
тела вируса используется случайное число, что исключает повторение байт в
шифрованном теле вируса, можно классифицировать вирус OneHalf 3544 как
вирус-мутант или полиморфный вирус.
ВЫВОДЫ.
Вирус OneHalf 3544 является тщательно разработанным файлово-загрузочным
мутирующим стелс-вирусом, использующим оригинальный механизм заражения и
размножения;
Однако при наличии отличного механизма полиморфности недостаточно
развитый механизм стелсирования позволяет обнаруживать вирус при просмотре
количества памяти в Norton Commander и просмотре MBR диска программой
Diskedit из комплекта Norton Utilities (версия не ниже 6.0)т с ключом /M
(запрет использования прерываний DOS).
При всей тщательности прописывания процедур заражения и шифровки -
расшифровки диска при практических заражениях дисков обнаружено, как
минимум, две ошибки. Одна из них состоит в том, что некоторые диски
емкостью 420 мегабайт заражаются некорректно (при заражении неверно
определяется количество секторов MBR и последний сектор тела вируса
«отражается» на сектор, занимаемый Partition Table, что приводит диск в
нерабочее состояние). Следует учесть, что в этом случае вирус успевает
корректно перенести оригинальный MBR в один из скрытых секторов и можно
восстановить работоспособность диска при помощи переноса MBR на свое место
вручную Diskedit’ором. При этом не следует забывать, что вирус не успевает
полностью отработать свой механизм инсталляции (вылечить файл-переносчик) и
заражение может повториться снова при его запуске. Второй ошибкой является
то, что при шифровании некоторых дисков вирус «ошибается» и шифрует
последние 2 дорожки с ключом, отличным от записанного в MBR. При следующем
запуске и работе с зашифрованными дорожками он корректно исправляет эту
ошибку. Однако, если этот момент совпадает с расшифровкой дорожек
антивирусами, то последние 2 дорожки можно считать утерянными.
Наличие шифрации данных на диске и вышеперечисленных ошибок дает
основание отнести вирус к категории очень опасных. Ни в коем случае нельзя
удалять вирус из MBR и памяти не произведя предварительную расшифровку
дорожек диска – вместе с телом вируса из MBR будет удален ключ к шифру.
Вирус имеет несколько слабых мест, которые можно использовать для борьбы
с ним.
1) Запись в MBR нового значения нижней границы заши-
фрованныхнных дорожек дает возможность обнаружить
вирус по изменению MBR встроенными возможностями
BIOS (проверка на вирусы ) и ревизором Adinf.
2) Проверка заражаемого файла на зараженность, выпол-
няемая сравнением количества секунд времени созда -
ния файла с остатком деления даты времени создания
файла на 30, дает возможность применить метод вакци -
нирования файлов с целью предотвратить распростра-
нение вируса с компьютера даже при наличии зараже -
ния. При изменении количества секунд во времени соз-
дания файла вирус будет считать такой файл уже зара -
женным, а т.к. он вылечивает файл-носитель при первом
заражении мы не будем иметь в системе и файлах, пе-
реписываемых на дискету, тела вируса.
3) Хранение в MBR ключа шифрования дорожек диска и
последнего значения границы дорожек дает возмож -
ность в большинстве случаев корректно расшифровать
дорожки. Хранение в файле таблицы размещения «пя -
тен» расшифровщика позволяет корректно удалить «пят-
на» и само тело вируса из файла.
4) Проверку наличия своего тела в памяти вирус произво-
дит вызовом несуществующей функции DOS и анализом
кода возврата. Это дает возможность написать резидент-
ную вакцину, которая бы перехватывала вызов этой
функции, выводила аварийное сообщение и запрещала
дальнейшее выполнение операций. Этот способ приме
нил Александр Крыжановский в своей вакцине
VS_ONE_H.
5) Запрет заражения файлов с определенными именами да
ет возможность «обмануть» вирус для получения истин
ного значения объема ОЗУ. Достаточно назвать нашу про
грамму с запросом размера память как CHKDSK, и мы
получим истинное значение количества памяти. По раз-
нице мы можем судить о заражении нашей системы.
6) Многие вирусы трассируют int13h до BIOS, чтобы
обойти антивирусные ревизоры. Так же поступает и
OneHalf, если увидит, что машина не заражена, и ее нуж-
но заразить - тогда он прописывает себя в MBR, но де
лает это после того, как оттрассирует int13h.
Вакцина А.Крыжановского также перехватывает int13h,
и использует антитрассировочный алгоритм, называю-
щийся в программистком мире "поплавок". Как только
кто-либо в системе совершал попытку оттрассировать
прерывание 13h, вакцина выдает предупреждение и
останавливает систему.
Метод «поплавка» основан на том, что трассировка
делается пошагово – процессор переключается в режим
отладки, и после выполнения каждой команды вызывает
debug-прерывание, используемое, обычно отладчиками
для пошаговой отладки программы, чтобы проанализиро
вать результаты выполнения команды. Вызов отладочно
го прерывания подразумевает, что используется стек
процессора, в котором сохраняется адрес возврата. Это и
используется для того, чтобы определить трассировку:
Мы запрещаем прерывания, затем помещаем в первую
свободную ячейку стека код 0000 или FFFF (оба адреса
не могут быть адресом возврата), затем считываем из
первой свободной ячейки стека значение, разрешаем пре
рывания и сравниваем считанное значение с тем, что мы
туда помещали.
Смысл метода в том, что когда программа выполняется
нормально, после запрета прерываний, никто не сможет
прервать выполнение нашей программы, и поэтому
поместив в первую свободную ячейку стека какое-либо
значение, мы затем сможем его же оттуда и прочитать,
потому что стек использовать некому. Если же програм
ма выполняется пошагово, то несмотря на запрет преры-
ваний, процессор все равно вызовет debug-прерывание
после команды, которой мы помещали в стек число. Это
debug-прерывание поместит в использованную нами ячей-
ку стека адрес возврата, после чего этот адрес мы и про-
читаем следующей командой чтения из стека. Получив
несовпадение записанного и считанного чисел мы смо-
жем убедиться в том, что включен режим пошагового
выполнения команд процессора и мы можем утверждать,
что подверглись заражению вирусом.
Для предотвращения заражения компьютера вирусом OneHalf 3544
рекомендую использовать резидентную вакцину VS_ONE_H, написанную ялтинским
программистом Александром Крыжановским. Так же можно использовать AVP
монитор Евгения Касперского. Можно использовать для обнаружения заражения
ревизор ADINF Дмитрия Мостового, но необходимо помнить, что его лечащий
блок не умеет расшифровывать дорожки, а простое восстановление MBR приведет
к потере зашифрованных данных!
Для обнаружения и лечения вируса и устранения его последствий
рекомендую использовать полифаг DoctorWeb Игоря Данилова (версия не ниже
1.7, версия 1.6 просто удаляет тело вируса из системы, а это недопустимо),
AVP 3.0 Pro Евгения Касперского, а так же можно использовать словацкий фаг
ONEHALF (специально написан для данного вируса) , полифаги TBAV, F-PROT,
Norton Antivirus.
Источники информации.
1. Информатика: Учебник / под ред. Проф. Н.В. Макаровой. - М.:
Финансы и статистика, 1997.
2. П. Абель. Язык ассемблера для IBM PC и программирования.
Москва, 1992.
3. Листинг вируса Onehalf 3544, полученный при помощи диз-
ассемблера Sourcer v. 7.0
4. Вакцина против вируса OneHalf 3544 (VS_ONE_H.COM), напи-
санная Александром Крыжановским, 1995.
5. Антивирусные программы DrWeb 1.6; 1.7; 4.15; 4.16; AVP 3.0
Pro build 1.32, Adinf 12.0, TBAV, F-PROT, NAV.
6. Хижняк П.Л. Пишем вирус и антивирус для IBM – совместимых
компьютеров. Инто. Москва 1991
7. Касперский Е. Компьютерные вирусы в MS-DOS. Эдель. Моск -
ва. 1992 г.
8. Интернет: сайты www.avp.ru ; www.virus.com;
www.virus.perm.ru
8. Электронный журнал «Infected voice» №5/1995.
Содержание.
1. Ведение ………………………………………………………2
2. Классификация вирусов ……………………………………3
3. Анализ алгоритма вируса ………………………………….5
4. Размещение вируса в зараженном файле ………………….5
5. Размещение вируса в зараженном MBR …………………..6
6. Алгоритм инсталляции вируса …………………………….7
7. Алгоритм заражения файлов для размножения…………...9
8. Выводы ………………………………………………………11
9. Источники информации …………………………………….17
-----------------------
0 дорожка 0 сектор 1 сторона
0 дорожка 1 сектор 1 сторона
0 дорожка 2 сектор 1 сторона
0 дорожка 3 сектор 1 сторона
0 дорожка 4 сектор 1 сторона
0 дорожка 5 сектор 1 сторона
0 дорожка 6 сектор 1 сторона
0 дорожка 7 сектор 1 сторона
0 дорожка 8 сектор 1 сторона
0 дорожка 9 сектор 1 сторона
0 дорожка 10 сектор 1 сторона
0 дорожка 11 сектор 1 сторона
0 дорожка 12 сектор 1 сторона
0 дорожка 13 сектор 1 сторона
0 дорожка 14 сектор 1 сторона
0 дорожка 15 сектор 1 сторона
0 дорожка 16 сектор 1 сторона